Как за вами следят на работе

Что и зачем охраняют
В российском законодательстве больше 60 видов тайн и иной информации ограниченного доступа – начиная от пресловутых персональных данных и тайны связи и заканчивая банковской тайной и инсайдерской информацией. Все эти тайны принадлежат либо обычным людям (например, тайна переписки или тайна исповеди), либо предприятиям (например, коммерческая или служебная тайна).
Но "причастность" к тайне накладывает ответственность – ее обладатель должен сделать так, чтобы тайна не попала в посторонние руки. В одних случаях (например, в отношении персональных данных или банковской и служебной тайны) за соблюдением защиты информации следит государство, в других – защиту обеспечивает непосредственный владелец.
Чем защищают тайны
Итак, оставим в стороне частные "тайны". Вы работаете в обычной компании, всё идет своим чередом, но коллеги иногда в шутку рассказывают, что все сотрудники под колпаком. Что рабочую почту не стоит использовать для романтических переписок, а все посещенные сайты, а также остальная ваша рабочая активность за компьютером проверяются и анализируются неразговорчивыми людьми из отдела информационной безопасности. Что происходит на самом деле?
Одним из основных средств по предотвращению утечек в компаниях являются программы класса DLP (Data Leak Prevention, “Предотвращение утечки данных” в пер. с англ.).
Задача DLP – контролировать обмен информации работниками по электронной почте (в том числе через браузер), переписку в чатах, посты в соцсетях и блогах, а также сетевые принтеры и всевозможные внешние устройства хранения, будь то USB-диски или карты памяти.

Конечно, это далеко не все каналы, которые могут быть использованы для случайной или целенаправленной утечки данных, но они являются самыми распространенными. По мере развития технологий некоторые системы DLP уже обучились отслеживать IP-телефонию или даже корпоративные сотовые телефоны, но пока такие «универсальные солдаты» скорее исключение, чем правило.
Как DLP-системы ловят за руку
Самой очевидной разновидностью средств по предотвращению утечек являются сетевые решения. Такие DLP называются in motion, в их задачу входит анализировать данные, которые передаются внутри сети.К примеру, такие системы пристально наблюдают, какой информацией обмениваются друг с другом сотрудники, но доступа непосредственно к компьютерам и другим оконечным устройствам они не имеют. А значит, шифрование легко собьет их с толку.
Так что же, достаточно включить Skype и вы неуловимы? Конечно, нет. На сцену выходит ваш личный кибер-надсмотрщик типа in use. Он устанавливается непосредственно на рабочий компьютер, ноутбук или смартфон. Ему подвластны практически все каналы взаимодействия — от Bluetooth, до портов USB и набираемого текста на клавиатуре.

От такого DLP-инструмента не спасет ни мессенджер со сквозным шифрованием, ни браузер Tor, а обнаружить сам факт его присутствия практически невозможно, если ваши специалисты по информационной безопасности знают свое дело. Они просто не имеют права предоставить вам, к примеру, корпоративный ноутбук, не подготовив его к работе должным образом.
Конечно мессенджерами и поиском в сети работа in use не ограничивается. Хороший DLP-инструмент этого типа в курсе практически всего, что происходит с компьютером. Какие файлы были записаны на флешку? Какой документ вы послали на печать? Правильно настроенная программа без лишнего шума перехватит данные и заблокирует подозрительную операцию или, наоборот, даст добро и пропустит до адресата.
Третий тип — это DLP-программы для контроля сохраненных данных или at rest. Такие "антишпионы" анализируют информацию на локальных и внешних (на USB-носителях или CD), а также удаленных хранилищах (например, на файловых серверах или облачных платформах).
Общую ситуацию, когда с вами начинает работать инструмент at rest, можно описать так — вы приходите на рабочее место с личным ноутбуком, включаетесь в общую сеть, а специалисты по безопасности не могут получить полный доступ к вашему гаджету. 

Такая система регулярно будет сканировать все доступные папки и файлы в дистанционном режиме в поисках следов защищаемой информации. Например, только так можно следить за тем, что ваши коллеги выкладывают в Facebook или загружают на Dropbox и Яндекс.Диск.
Как обмануть систему?
Гарантированно ли поймают вас DLP-программы, если вы захотите "слить" ценные данные конкурентам? Как показывают исследования, нет.
Дело в том, что их цель — случайные утечки. Именно на них по статистике приходится до 90-95% нарушений конфиденциальности данных. В то же время более-менее подкованный в сфере ИТ пользователь вполне способен обойти все системы DLP.

Шифрование. Как мы уже рассказали, для большинства интсрументов DLP шифрование становится непреодолимой преградой. Шифровать можно что угодно — от сообщений в чатах, до файлов и электронных писем. 
Фото- и видеосъемка. Нет ни одного инструмента против съемки экрана монитора, кроме, разве что, постоянного наблюдения за работником. Да и то, обычно в таких случаях факт утечки можно установить только пост-фактум, когда "черное дело" уже будет сделано, а вы — получите 30 серебряников.
Маскировка. Еще одним очень эффективным методом сокрытия факта передачи конфиденциальной информации является стеганография ("тайнопись"). Он основан на маскировке — нужная информация "прячется" в на первый взгляд ничем не примечательных файлах, например, в картинках или музыкальных файлах. Большинство DLP-решений просто не умеют работать с стеганографическими методами, ведь в отличие от зашифрованных данных информация после стеганографической обработки не вызывает подозрений.
Какое они имеют право?
Действительно, гражданское право на тайну переписки и телефонных переговоров закреплено законом, а нарушить его можно только по решению суда. Получается, что некоторые DLP-системы если и не вне закона, то, как минимум, балансируют на грани его нарушения? Не совсем так. 
В качестве защиты производители DLP-систем заявляют, что их программы ничего не нарушают и они правы – само программное обеспечение не является субъектом права и не может ничего нарушать. Зато нарушает человек, например, сотрудник службы информационной безопасности, который использует результаты работы DLP.

Сейчас в России сложился определенный баланс между интересами работодателей и конституционными правами граждан. С одной стороны организации обязаны по закону защищать информацию и предотвращать утечки собственных данных и принадлежащих государству. С другой стороны, у граждан есть вполне разумное желание знать, когда их контролируют и является ли данная деятельность законной, а отстаивать свои интересы в суде они пока не научились.  
Среди участников процесса нет единства. Одни считают, что "слушать" коммуникации сотрудников нельзя ни при каких условиях. Другие рассматривают возможность читать чужую переписку при условии, что она ведется на служебных компьютерах и мобильных устройствах. Третьи ставят обязательное условие – получить согласие работника на мониторинг его активности. Четвертые же и вовсе говорят, что работодатель имеет право защищать свои права и законные интересы, применяя любые официально продаваемые в России средства.
Но в любом случае не лишним будет напомнить, что в переписке или телефонных разговорах обычно участвует два человека и конституционные правы должны быть соблюдены для обоих, а не только для своих сотрудников.